远程主机上安装的 Mattermost 服务器版本受到 MMSA-2025-00497、 MMSA-2025-00496、 MMSA-2025-00516 公告中提及的多个漏洞的影响。

  - Mattermost 版本 10.5.x <= 10.5.10、 10.11.x <= 10.11.2 在添加渠道成员时无法正确验证客户机用户权限这允许客户机用户通过“/api/v4/channels/ {channel_id}/members` 端点。 (CVE-2025-10545)

  - Mattermost 版本 10.5.x <= 10.5.10、 10.11.x <= 10.11.2 在访问频道信息时无法正确验证客户机用户权限这允许客户机用户通过“/api/v4/teams/{ team_id}/channels/ids` 端点。 (CVE-2025-41443)

  - Mattermost 版本 10.5.x <= 10.5.10、 10.11.x <= 10.11.2 未针对敏感字符串比较使用常数时间比较其允许攻击者通过对云的响应时间分析利用时序预言执行逐字节暴力破解攻击API 密钥和 OAuth 客户端密钥。 (CVE-2025-54499)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Mattermost Server 10.5.x < 10.5.11 / 10.11.x < 10.11.3 / 10.12.0 多种漏洞 (MMSA-2025-00497、 MMSA-2025-00496、 MMSA-2025-00516)

medium Nessus 插件 ID 271200